Acordo de Subcontratação de Dados Pessoais

Partes

Entre Valter Silva, empresário em nome individual, contribuinte n.º 264769570, com domicílio profissional em Rua do Gojo, 241, 4520-316 Fornos, Santa Maria da Feira, que presta o serviço sob a designação comercial STAT5, adiante designado por STAT5 ou Subcontratante;

e a entidade que subscreve as Condições de Utilização do serviço STAT5, adiante designada por Cliente ou Responsável pelo Tratamento.

Considerando que o Cliente utiliza o serviço STAT5 para gerir a sua atividade desportiva e que, no âmbito dessa utilização, regista e trata dados pessoais de terceiros, é celebrado o presente Acordo, que integra as Condições de Utilização e delas é parte inseparável.

Cláusula 1.ª - Objeto e qualificação das partes

1. O presente Acordo regula o tratamento de dados pessoais efetuado pela STAT5 por conta do Cliente, nos termos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD).
2. O Cliente é o responsável pelo tratamento dos dados pessoais que regista ou faz registar no Serviço, designadamente os de atletas, encarregados de educação e membros da sua equipa técnica.
3. A STAT5 é subcontratante relativamente a esses dados.
4. A STAT5 é responsável pelo tratamento, e não subcontratante, quanto aos dados de conta dos utilizadores do Cliente e aos dados de faturação, nos termos da Política de Privacidade. Esses tratamentos não são objeto deste Acordo.
5. Em caso de contradição entre este Acordo e as Condições de Utilização, quanto a matéria de proteção de dados prevalece este Acordo.

Cláusula 2.ª - Descrição do tratamento

1. O objeto, a duração, a natureza, a finalidade do tratamento, os tipos de dados pessoais e as categorias de titulares constam do Anexo I, que faz parte integrante deste Acordo.
2. A duração do tratamento corresponde à vigência do contrato de prestação de serviços, acrescida dos prazos previstos na Cláusula 9.ª.

Cláusula 3.ª - Instruções do Responsável

1. A STAT5 trata os dados pessoais exclusivamente com base em instruções documentadas do Cliente, incluindo quanto a transferências para países terceiros.
2. Constituem instruções documentadas, para este efeito: a) o presente Acordo e as Condições de Utilização; b) a utilização do Serviço através das suas funcionalidades, tal como disponibilizadas, pelos utilizadores autorizados pelo Cliente; c) as instruções escritas adicionais que o Cliente dirija à STAT5.
3. A STAT5 não utiliza os dados para finalidades próprias, designadamente não os vende, não os cede, não os utiliza para publicidade e não os utiliza para treinar modelos ou desenvolver produtos, salvo sob a forma de dados agregados e irreversivelmente anonimizados que não permitam identificar o Cliente nem qualquer titular.
4. A STAT5 informa imediatamente o Cliente se considerar que uma instrução viola o RGPD ou outra disposição de proteção de dados, podendo suspender a execução dessa instrução até esclarecimento.
5. Se a STAT5 for obrigada, por direito da União ou de Estado-Membro, a tratar dados fora das instruções recebidas, informa previamente o Cliente desse requisito jurídico, salvo se tal for proibido por razões de interesse público importante.

Cláusula 4.ª - Confidencialidade

1. A STAT5 assegura que as pessoas autorizadas a tratar os dados pessoais estão sujeitas a dever de confidencialidade, contratual ou legal, que subsiste após a cessação das suas funções.
2. O acesso aos dados por pessoal da STAT5 é limitado ao estritamente necessário para a prestação do Serviço, para a resolução de incidentes técnicos e para o apoio ao Cliente, e é registado.

Cláusula 5.ª - Segurança do tratamento

1. A STAT5 aplica as medidas técnicas e organizativas descritas no Anexo II, adequadas ao risco, nos termos do artigo 32.º do RGPD.
2. A STAT5 pode alterar as medidas do Anexo II desde que não diminua o nível de proteção que delas resulta.

Cláusula 6.ª - Subcontratantes ulteriores

1. O Cliente autoriza genericamente a STAT5 a recorrer aos subcontratantes ulteriores identificados no Anexo III.
2. A STAT5 informa o Cliente de qualquer acrescento ou substituição de subcontratante ulterior com uma antecedência mínima de 30 dias, por correio eletrónico para o endereço de contacto do Cliente e por aviso na aplicação.
3. Durante esse prazo, o Cliente pode opor-se fundamentadamente à alteração. Havendo oposição, as partes procuram uma solução alternativa em prazo razoável; não sendo possível, o Cliente pode resolver o contrato sem penalização, com direito ao reembolso da parte proporcional do período já pago e não usufruído.
4. A STAT5 impõe a cada subcontratante ulterior, por contrato escrito, obrigações de proteção de dados não menos exigentes do que as constantes deste Acordo, e responde perante o Cliente pelo cumprimento das obrigações desse subcontratante.

Cláusula 7.ª - Assistência ao Responsável

1. Tendo em conta a natureza do tratamento, a STAT5 assiste o Cliente, através de medidas técnicas e organizativas adequadas, no cumprimento da sua obrigação de dar resposta aos pedidos de exercício de direitos dos titulares (artigos 15.º a 22.º).
2. Para esse efeito, o Serviço disponibiliza ao Cliente funcionalidades de exportação integral dos dados e de eliminação de conta e de dados associados, que permitem ao Cliente responder autonomamente à generalidade dos pedidos.
3. Se um titular dirigir um pedido diretamente à STAT5, esta não lhe dá seguimento e reencaminha-o para o Cliente sem demora, informando o titular de que é o Cliente o responsável pelo tratamento.
4. A STAT5 assiste ainda o Cliente no cumprimento das obrigações dos artigos 32.º a 36.º, designadamente na avaliação de impacto sobre a proteção de dados e na consulta prévia à autoridade de controlo, disponibilizando a informação de que dispõe.

Cláusula 8.ª - Violação de dados pessoais

1. A STAT5 notifica o Cliente de qualquer violação de dados pessoais sem demora injustificada e, em qualquer caso, no prazo máximo de 72 horas após dela ter tomado conhecimento.
2. A notificação inclui, na medida do conhecido à data e sendo completada logo que possível: a) a descrição da natureza da violação, incluindo, quando possível, as categorias e o número aproximado de titulares e de registos afetados; b) o nome e os contactos do ponto de contacto para mais informações; c) a descrição das consequências prováveis; d) a descrição das medidas adotadas ou propostas para reparar a violação e mitigar os seus efeitos.
3. A notificação à autoridade de controlo e a comunicação aos titulares, quando devidas, são da responsabilidade do Cliente. A STAT5 presta-lhe a colaboração necessária.
4. A STAT5 mantém registo interno das violações de dados pessoais.

Cláusula 9.ª - Cessação: devolução ou eliminação

1. Cessando a prestação do Serviço, por qualquer causa, a STAT5 procede, à escolha do Cliente, à devolução ou à eliminação dos dados pessoais tratados por sua conta.
2. O Cliente dispõe de 30 dias a contar da cessação para exercer essa opção e para exportar os dados através do Serviço. Findo esse prazo sem indicação em contrário, a STAT5 procede à eliminação.
3. A eliminação abrange os sistemas de produção. Os dados presentes em cópias de segurança cifradas são eliminados no decurso normal do ciclo de retenção dessas cópias, que não excede 90 dias, período durante o qual não são objeto de qualquer tratamento ativo e permanecem cifrados. Se, por necessidade de recuperação, uma cópia de segurança vier a ser restaurada, as eliminações entretanto solicitadas são reaplicadas ao sistema restaurado.
4. A STAT5 conserva os dados cuja conservação lhe seja imposta por direito da União ou de Estado-Membro, designadamente documentos de faturação, e apenas pelos prazos legalmente exigidos.
5. A STAT5 confirma por escrito a eliminação, se o Cliente o solicitar.

Cláusula 10.ª - Demonstração de conformidade e auditorias

1. A STAT5 disponibiliza ao Cliente as informações necessárias para demonstrar o cumprimento das obrigações deste Acordo.
2. O Cliente pode realizar, ou mandar realizar por auditor independente sujeito a dever de sigilo, uma auditoria por ano civil, mediante pré-aviso de 30 dias, em horário laboral e sem perturbação desproporcionada da atividade da STAT5.
3. Podem ser realizadas auditorias adicionais na sequência de uma violação de dados pessoais que afete o Cliente, ou quando exigidas pela autoridade de controlo.
4. Os custos da auditoria são suportados pelo Cliente, salvo se dela resultar incumprimento relevante imputável à STAT5, caso em que são por esta suportados.

Cláusula 11.ª - Transferências internacionais

1. Os dados pessoais são armazenados em servidores localizados na União Europeia.
2. Alguns subcontratantes ulteriores identificados no Anexo III podem tratar dados fora do Espaço Económico Europeu. Nesses casos, a transferência é efetuada ao abrigo das Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia ou de decisão de adequação aplicável, acompanhadas das medidas suplementares que se mostrem necessárias.
3. A STAT5 não transfere dados para países terceiros sem um destes fundamentos.

Cláusula 12.ª - Responsabilidade, vigência e lei aplicável

1. Cada parte responde pelos danos causados pelo incumprimento das obrigações que o RGPD lhe impõe, nos termos do artigo 82.º.
2. Este Acordo vigora enquanto durar a prestação do Serviço e mantém-se em vigor, quanto às obrigações de confidencialidade, eliminação e cooperação, pelo tempo necessário ao seu cumprimento.
3. Aplica-se a lei portuguesa. Para dirimir litígios é competente o foro da comarca de Aveiro, com renúncia a qualquer outro.

Anexo I - Descrição do tratamento

Objeto: prestação de um serviço em nuvem de gestão de atividade desportiva.

Natureza e finalidade: recolha, registo, organização, conservação, consulta, utilização, exportação e eliminação de dados pessoais, com as finalidades de gestão de planteis, planeamento e registo de treinos e jogos, monitorização de carga de treino, acompanhamento clínico e escolar, gestão de quotas e comunicação com atletas e encarregados de educação.

Duração: vigência do contrato, acrescida dos prazos da Cláusula 9.ª.

Categorias de titulares

• Atletas - na sua maioria menores de idade
• Encarregados de educação, nos escalões de formação
• Membros da equipa técnica e direção, registados pelo Cliente
• Terceiros identificados em observações de scouting: atletas e equipas adversárias

Categorias de dados

Operações com risco acrescido

• Tratamento de dados de saúde de menores em larga escala relativamente ao universo do Cliente.
• Anexação de documentos clínicos e de comprovativos de qualificação.
• Envio de comunicações por correio eletrónico a encarregados de educação.

Anexo II - Medidas técnicas e organizativas

Medidas efetivamente aplicadas à data. Verificáveis.

Controlo de acesso

• Autenticação por ligação mágica enviada por correio eletrónico ou por palavra-passe. As palavras-passe são geridas pelo fornecedor de autenticação e nunca são conservadas em texto simples pela STAT5.
• Sessão com duração limitada e opção de sessão não persistente.
• Sistema de permissões por perfil e por âmbito: cada operação é verificada quanto à sua natureza e quanto ao escalão a que o dado pertence.
• Permissões sobre dados clínicos e escolares constituem um nível próprio, desligado por omissão em todos os perfis, incluindo o de administrador, e apenas concedível pelo responsável do Cliente, pessoa a pessoa.
• O acesso concedido a um escalão não se estende a outro. O acesso temporário de um atleta a outro escalão não arrasta o seu histórico clínico ou escolar.
• Limitação de tentativas por origem, para autenticação e para operações sensíveis.

Isolamento e integridade

• Isolamento por organização, aplicado em cada consulta à base de dados.
• Segurança ao nível da linha ativada em todas as tabelas da base de dados.
• Verificação de esquema nas entradas das operações de escrita.
• Idempotência no processamento de eventos de pagamento recebidos do prestador.

Comunicação e conteúdo

• Cifra em trânsito (TLS) em todas as comunicações.
• Política de Segurança de Conteúdo e cabeçalhos de segurança aplicados em produção, incluindo proibição de enquadramento em terceiros.
• Ficheiros carregados pelo Cliente conservados em armazenamento privado, com verificação do tipo real do ficheiro e acesso apenas por ligação assinada de validade curta.

Cópias de segurança e recuperação

• Cópia integral da base de dados de 12 em 12 horas, automatizada.
• Cada cópia é cifrada e a cifra é verificada por desencriptação antes de ser considerada válida.
• Retenção em dois destinos independentes: 14 dias em artefactos de integração contínua e 90 dias em armazenamento externo, com regra de expiração declarada em código e reconfirmada periodicamente de forma automática.
• Existe procedimento automatizado de teste de restauro.

Registo e supervisão

• Registo de auditoria das operações relevantes, com identificação do autor, do recurso e do momento.
• Registo de quem concede e de quem revoga permissões de acesso a dados sensíveis.
• Alerta à equipa técnica em caso de erro não esperado no processamento.

Localização

• Base de dados, autenticação e cópias de segurança externas alojadas na União Europeia.

Medidas que não existem à data

Declaradas para que este Anexo não induza em erro:

• Não existe autenticação multifator.
• Não existe cifra ao nível do campo para dados de saúde, além da cifra em repouso do fornecedor de base de dados.
• Não existe certificação ISO 27001 nem SOC 2 da STAT5. Os subcontratantes ulteriores possuem as suas próprias.

Anexo III - Subcontratantes ulteriores

Lista atualizada a 10 de agosto de 2026. As alterações seguem a Cláusula 6.ª.

Contacto

Para questões sobre este Acordo, incluindo pedidos de assinatura autónoma, oposição a subcontratantes ulteriores ou exercício do direito de auditoria: privacidade@stat5.app.